盜號流程大致如下：
準備下木馬的人一般會在網(wǎng)絡(luò)游戲中建個小號，一般為MM號（多半是人妖），在游戲中找裝備不錯的大號扮MM套近乎。如果大號上當，很快就會請求加QQ。如果不幸QQ中加了此人，很快，對方會頻繁施展“美人計”誘你上鉤，最多見的是和你視頻，你看到對方的視頻一定是令色男大流口水的美女。其實，你不知道這視頻全是假的，早就有偽造QQ視頻的工具，對方看到上鉤的網(wǎng)友視頻一定會恥笑不已。
接下來，下木馬者一般會給你傳照片，如果不是查看文件擴展名的話，上當受騙就難免了。對方 傳過來的是exe后輟，圖標是圖片文件的木馬程序，絕不是什么MM寫真之類。雙擊打開的后果，就是被盜號。
別指望什么主動防御，社會工程學欺騙是最最有效的突破手段。在我們分析這個樣本時，發(fā)現(xiàn)不少人中的是“網(wǎng)絡(luò)紅娘”木馬，該木馬非常類似于“灰鴿子”，被安裝服務(wù)端后，該電腦就會被遠程攻擊者完全控制，下面看看這個“網(wǎng)絡(luò)紅娘”木馬的分析報告。
病毒概述
毒霸查出的網(wǎng)絡(luò)紅娘樣本的病毒名稱為Win32.Troj.Agent.401408，這是遠程控制類木馬病毒。它在本地創(chuàng)建客戶端，向遠程服務(wù)端傳送本地計算機的情況。伺機盜取有用的信息。
行為
1.病毒運行后，產(chǎn)生以下病毒文件
%SystemRoot%\system32\aedl.exe %SystemRoot%\system32\aedl.dat %SystemRoot%\system32\aedl .jpg
病毒釋放的實際文件名可能與此不同。它釋放的jpg文件為病毒的文件名加上空格再加上jpg擴展名。
2.創(chuàng)建服務(wù)，以便隨系統(tǒng)啟動。
3.會在一段很短的時間內(nèi)修改系統(tǒng)時間，影響安全軟件運行。并查找彈出的卡巴斯基和微點的窗口，向窗口發(fā)送鼠標點擊消息，允許病毒的操作。
4.修改系統(tǒng)中的數(shù)據(jù)，隱藏服務(wù)，用戶無法在服務(wù)控制臺中查找到此服務(wù)。
5.進入其他程序的空間，在其他程序空間內(nèi)運行病毒。
6.連接遠程服務(wù)端，上傳本機的信息，包括計算機名、系統(tǒng)版本、用戶名等。
7.執(zhí)行服務(wù)端的指令，可以捕捉視頻、捕捉音頻、捕捉圖像、創(chuàng)建文件、讀取文件、刪除文件、修改文件、枚舉服務(wù)、修改服務(wù)屬性、啟動服務(wù)、刪除服務(wù)、停止服務(wù)、獲得當前進程列表、模塊列表、終止進程、創(chuàng)建進程、執(zhí)行命令、獲取窗口的標題。
8.監(jiān)視本地計算機的鍵盤和鼠標動作，向服務(wù)端發(fā)送這些動作。
盜取網(wǎng)游賬號的過程
作為遠程控制軟件，網(wǎng)絡(luò)紅娘可以輕易盜取被入侵者計算機上的信息。如：網(wǎng)游帳號，銀行帳號等。
首先，持有病毒服務(wù)端的人會通過各種手段向目標計算機上安裝客戶端。最常用的方法就是本文開頭提到的那段。
客戶端程序運行后會監(jiān)視鍵盤和鼠標動作，收集客戶端計算機的信息。然后，將這些信息發(fā)送給遠程服務(wù)端。服務(wù)端可以發(fā)送命令查看了他的桌面，當前運行的窗口的標題，檢查文件的列表，查看文件的內(nèi)容。當發(fā)現(xiàn)了有用的信息之后，服務(wù)端就被趁機盜取。因此，明文存放到文件中的網(wǎng)游帳號，郵箱帳號等信息都可能被盜取。此外，服務(wù)端也可以根據(jù)目標計算機上當前打開的窗口的內(nèi)容和鍵盤鼠標記錄推測出登陸的用戶名，密碼等信息。
關(guān)于騰牛 | 聯(lián)系方式 | 發(fā)展歷程 | 版權(quán)聲明 | 下載幫助(？) | 廣告聯(lián)系 | 網(wǎng)站地圖 | 友情鏈接
Copyright 2005-2018 QQTN.com 【騰牛網(wǎng)】 版權(quán)所有 鄂ICP備17010784號-1 | 
鄂公網(wǎng)安備 42011102000245號
聲明： 本站非騰訊QQ官方網(wǎng)站 所有軟件和文章來自互聯(lián)網(wǎng) 如有異議 請與本站聯(lián)系 本站為非贏利性網(wǎng)站 不接受任何贊助和廣告
